Armazenamento Cloud Seguro e Conforme HIPAA para Saúde: Soluções de Conformidade Confiáveis

Hospitais, clínicas e outras organizações de saúde tiveram um percurso atribulado rumo à adoção cloud nos últimos anos. Os riscos de segurança implícitos de usar cloud pública ou trabalhar com fornecedores de serviços terceiros atrasaram consideravelmente a adoção cloud na indústria da saúde.

Mesmo hoje, quando 84% das organizações de saúde usam serviços cloud, a questão de escolher o fornecedor cloud HIPAA compliant certo pode ser uma dor de cabeça.

Todos os prestadores de saúde cujos dados de clientes são armazenados nos EUA estão sujeitos a um conjunto de regulamentos conhecidos como conformidade HIPAA

Hoje, qualquer organização que lida com dados confidenciais de pacientes precisa cumprir requisitos de armazenamento HIPAA.

O que é Conformidade HIPAA?

Padrões HIPAA fornecem proteção de dados de saúde. Qualquer fornecedor que trabalhe com uma organização de saúde ou negócio que lide com ficheiros de saúde deve cumprir as regras de privacidade HIPAA. Existem também muitas indústrias auxiliares que devem aderir às diretrizes se tiverem acesso a dados médicos e de pacientes. É aqui que o armazenamento cloud HIPAA Compliant desempenha um papel significativo.

Em 1996, "o U.S. Department of Health and Human Services (HHS) emitiu a Privacy Rule para implementar o requisito do Health Insurance Portability and Accountability Act (HIPAA) de 1996." A Privacy Rule aborda "informação de saúde protegida eletrónica" dos pacientes e como organizações, ou "entidades cobertas HIPAA" sujeitas às Privacy Rules devem cumprir.

A maioria das instituições de saúde usa alguma forma de dispositivos eletrónicos para prestar cuidados médicos. Isto significa que a informação não reside mais num gráfico em papel, mas num computador ou na cloud. Ao contrário de negócios gerais ou maiorias de entidades comerciais, instituições de saúde são legalmente obrigadas a empregar as práticas de backup de dados mais fiáveis.

Então, como isto afeta a sua escolha de fornecedor cloud?

Ao planear a sua mudança para cloud computing, instituições de saúde precisam de garantir que o seu fornecedor cumpre critérios de segurança específicos.

Estes critérios traduzem-se em requisitos e thresholds que uma empresa deve cumprir e manter para se tornar HIPAA-ready. Resumem-se a um conjunto de certificações, auditoria e relatórios SOC, níveis de encriptação e funcionalidades de segurança física.

Soluções de armazenamento cloud HIPAA devem funcionar para tornar a conformidade simples e direta. Desta forma, organizações de saúde têm uma preocupação a menos e podem focar-se em melhorar os seus processos críticos.

Requisitos de Armazenamento Cloud e Backup de Dados HIPAA

Um fornecedor de serviços cloud a fazer negócio com uma empresa a operar sob regras HIPAA-HITECH act é considerado um business associate. Como tal, deve mostrar que está dentro dos padrões de conformidade cloud e segue quaisquer standards relevantes. Embora o fornecedor não lide diretamente com informação de pacientes, recebe, gere e armazena Protected Health Information (PHI). Este facto por si só torna-os responsáveis por protegê-la de acordo com diretrizes HIPAA-HITECH act.

Ser HIPAA compliant significa implementar todas as regras e regulamentos que o Act propõe. Qualquer fornecedor que ofereça serviços sujeitos ao act deve fornecer documentação como prova da sua conformidade. Esta documentação precisa de ser enviada não só aos seus clientes mas também ao Office for Civil Rights (OCR). O OCR é uma sub-agência do U.S. Department of Education, que promove acesso igual a programas de saúde e serviços humanos.

Organizações da indústria de saúde que procuram trabalhar com um fornecedor de armazenamento cloud HIPAA Compliant devem solicitar prova de conformidade para se protegerem. Se o fornecedor segue todos os standards, não deve ter problemas em partilhar a documentação apropriada consigo.

Requisitos HIPAA para organizações de alojamento cloud são os mesmos que os requisitos para business associates. Dividem-se em três categorias distintas: salvaguardas administrativas, físicas e técnicas.

• Salvaguardas Administrativas: Estes tipos de salvaguardas são políticas transparentes que delineiam como o negócio cumprirá do ponto de vista operacional. As operações podem incluir gestão de risk assessments de segurança, procedimentos apropriados, resposta a desastres e emergências, e gestão de passwords.
• Salvaguarda Física: Salvaguardas físicas são geralmente sistemas implementados para proteger dados de clientes. Podem incluir armazenamento adequado, backup de dados, e eliminação apropriada de media num data center. Precauções de segurança importantes para instalações onde residem dispositivos de armazenamento de hardware ou software também fazem parte desta categoria.
• Salvaguardas Técnicas: Este grupo de salvaguardas refere-se a funcionalidades técnicas implementadas para minimizar risco de dados e maximizar proteção. Exigir informação de login única, políticas de auto-logoff e autenticação para acesso a PHI são apenas algumas das salvaguardas técnicas que devem estar implementadas.

O que Torna um Fornecedor Cloud Certificado HIPAA Conforme?

Fornecer armazenamento de ficheiros HIPAA compliant hardware ou software não é tão simples como ligar um interruptor. Exige uma tremenda quantidade de tempo e esforço para uma empresa se tornar conforme.

O elemento crítico a procurar num fornecedor de armazenamento cloud certificado HIPAA é a sua vontade de fazer um Business Associate Agreement. Conhecido como BAA, este acordo é completado entre duas partes a planear transmitir, processar ou receber PHI. O seu propósito principal é proteger ambas as partes de quaisquer repercussões legais resultantes do uso indevido de informação de saúde protegida.

Um Business Associate Agreement BAA não deve adicionar, subtrair ou contradizer os standards gerais do HIPAA. No entanto, se ambas as partes concordarem, suplementar terminologia específica é aceitável. Existem também alguns termos core que compõem a base para um business associate agreement conforme e devem permanecer para o contrato ser considerado legalmente vinculativo.

O nível de encriptação ativado pelo fornecedor cloud precisa de atenção adequada. A empresa deve estar a encriptar ficheiros não só em trânsito mas também em repouso. Advanced Encryption Standard (AES) é o nível mínimo de encriptação que deve usar para armazenamento e partilha de ficheiros. AES é sucessor do Data Encryption Standard (DES) e foi desenvolvido pelo National Institute of Standards and Technology (NIST) em 1997. É um algoritmo de encriptação avançado que oferece defesa melhorada contra diferentes incidentes de segurança.

Selecionar um Fornecedor de Armazenamento Cloud Conforme

Ao escolher um fornecedor HIPAA compliant, procure HIPAA web Hosting que cumpra as medidas delineadas na secção anterior. Certifique-se de perguntar sobre as suas práticas de segurança de armazenamento de dados para quão seguros os seus dados PHI estarão.

O fornecedor potencial oferece um service level agreement?

Um contrato SLA indica tempos de resposta garantidos a ameaças, tipicamente dentro de uma janela de vinte e quatro horas. Como empresa que transmite PHI, precisa de saber quão rapidamente o fornecedor o pode notificar em caso de incidente. Quanto mais rápido receber uma notificação de violação, mais eficientemente pode responder.

Não se esqueça que o armazenamento de registos médicos eletrónicos baseados em cloud deve estar num data center seguro.

Quais são as medidas de segurança em caso de incidente? Como é determinado o acesso à instalação? Peça um esquema detalhado de como implementam e reforçam segurança física. Verifique como respondem em caso de violação de dados. Certifique-se de obter todos os detalhes relevantes antes de colocar os seus dados em risco.

O seu fornecedor selecionado deve também ter um Disaster Recovery e Continuity Plan implementado.

Um plano de continuidade antecipará perdas devido a desastres naturais, violações de dados e outros incidentes imprevistos. Também fornecerá os processos e procedimentos necessários se ou quando tais eventos ocorrerem. Relativamente a melhores práticas de prevenção de perda de dados, também é essencial determinar com que frequência o método proposto passa por testes rigorosos.

Segurança de Registos Médicos de Saúde – Como Posso Ter Certeza?

Fornecedores cloud que levam conformidade a sério garantirão que as suas certificações estão atuais. Existem várias formas de verificar se seguem standards e regulamentos relevantes.

Uma forma é auditar o seu fornecedor potencial usando uma parte independente. Auditoria trará quaisquer riscos possíveis à sua atenção e revelará as táticas de segurança do fornecedor. Fornecedores de armazenamento cloud para registos médicos devem auditar regularmente os seus sistemas e ambientes para ameaças de segurança e manter conformidade. O termo 'regularmente' não é definido pelo act, por isso é essencial solicitar documentação e informação pelo menos trimestralmente. Deve também garantir que tem acesso constante a relatórios e documentação detalhando a auditoria mais recente.

Outra forma de determinar se a empresa é conforme é avaliar as qualificações dos seus colaboradores. Todo o staff precisa de ser educado nos standards mais atuais e familiarizado com salvaguardas específicas. Só com estes implementados as organizações podem alcançar conformidade.

Faça perguntas difíceis ao seu fornecedor potencial. Qualquer pessoa com acesso a PHI precisa de formação apropriada em métodos de transmissão segura de dados. Formação precisa de incluir capacidade de encriptar informação de pacientes de forma segura independentemente de onde estejam armazenados.

Uma empresa HIPAA compliant não lhe pedirá backdoor para aceder aos seus dados ou permissão para contornar os seus protocolos de gestão de acesso. Tais fornecedores reconhecem o risco de exigir autenticação adicional ou pontos de acesso. Comprometer acesso a protocolos de autenticação e requisitos de password é uma violação séria e nunca deve acontecer.

Perguntas Frequentes sobre Backup & Armazenamento Cloud

Pergunte a fornecedores cloud potenciais que método usam para avaliar a sua conformidade HIPAA.

Está disponível um template de política HIPAA para uso? O fornecedor oferece orientação e feedback sobre conformidade? Como garantem que está atualizado e ciente de regras e regulamentos de segurança? Oferecem email HIPAA compliant?

A empresa tem funcionários full-time on-premise?

Ter presença no local e disponível 24/7 é um mecanismo para garantir segurança avançada. Um representante disponível torna a segurança PHI mais fiável e garante resposta rápida se necessário. Também dá paz de espírito sabendo que a empresa encarregue da proteção dos seus dados está profundamente versada nos standards requeridos.

O fornecedor certo deve também ser rápido a adaptar-se a mudanças e informá-lo de qualquer coisa que afete diretamente o seu PHI ou o seu acesso a ele.

Eliminação de dados é um componente crucial na escolha do business associate HIPAA apropriado. Por quanto tempo a informação é mantida por um período antes de ser purgada? Como é prevenida fuga de dados quando servidores são retirados de serviço ou apagados? Os dados são fornecidos a si antes da eliminação? O act não oferece diretrizes sobre o tempo requerido, mas é um acordo que si e o seu fornecedor devem alcançar juntos.

Além do seu conhecimento, determine quão bem o seu fornecedor potencial está versado em regulamentos HIPAA. Empresas cloud frequentemente falham em seguir as últimas mudanças de regulamento, e tem de procurar a que tem dedicação consistente.

Pesquise. Não se contente com a primeira cotação.

Muitas empresas apregoam a sua segurança HIPAA, apenas para descobrir que ficam aquém da régua de medição. Faça a sua pesquisa, faça perguntas, e determine qual fornecedor melhor se adapta às suas necessidades.

Armazenamento Cloud HIPAA-Compliant é Crítico

Quando se trata de proteger registos médicos na cloud, a phoenixNAP apoiará os seus esforços com a mais alta qualidade de serviço, segurança e confiabilidade.

Fornecemos uma seleção de data centers que oferecem proteção state-of-the-art para os seus ficheiros médicos. Com soluções cloud escaláveis, garantia de 100% uptime e recuperação de desastres inigualável, pode descansar assegurado que a sua infraestrutura é conforme.

Certificações HIPAA podem ser confusas, complicadas e stressantes.

Precisa de confiar no seu fornecedor cloud para manter os seus ficheiros seguros. PhoenixNap Global IT Services permitir-lhe-á a liberdade de focar a sua atenção noutras áreas do seu negócio e garantir a proteção das suas entidades e business associates.